Pogodba o obdelavi - hitra pošta - IPRS

(1)Uvodoma pojasnjujemo, da je pogodbo o obdelavi osebnih podatkov treba skleniti, kadar upravljavec osebnih podatkov najame drugega izvajalca (»obdelovalca«), da v njegovem imenu obdeluje osebne podatke. Upravljavec je tisti, ki določa sredstva in namene obdelave, obdelovalec pa zgolj obdeluje podatke po navodilih upravljavca. V tem primeru je treba skleniti pogodbo o obdelavi osebnih podatkov s sestavinami iz 28. člena Uredbe, ki mora vsebovati podobne klavzule, kot jih navajate v svojem dopisu. Pri opravljanju storitve prevoza za hitro pošto običajno zagotovo pride do obdelave osebnih podatkov. Osebni podatki so katerikoli podatki, ki kažejo na posameznika. Kadarkoli, ko v procesu dostave pošiljke uporabite kontaktni podatek fizične osebe (ki je bodisi neposredni naslovnik pošiljke ali pa le kontaktna oseba (zaposleni) pri podjetju, ki je naslovnik pošiljke), obdelujete osebne podatke. Ker vas je hitra pošta najela za izvedbo dostave paketa, je torej vprašanje, ali je pri tem govora o pogodbeni obdelavi osebnih podatkov v zvezi z dostavo, saj je, kot navajate, vaša osnovna storitev prevoz in dostava paketa. Če uporabljate podatke končnih uporabnikov za izvedbo dostave v svojem imenu (za izvedbo svoje storitve) in ne v imenu vašega poslovnega partnerja - hitre pošte, potem ste upravljavec osebnih podatkov. V tem primeru med vami in hitro pošto ne gre za razmerje upravljavec – obdelovalec (kjer se zahteva sklenitev pogodbe o obdelavi osebnih podatkov), temveč za razmerje upravljavec – upravljavec. Navedeno je odvisno tudi od vsebine pogodbe o izvedbi storitve za vašega naročnika. Zato IP o tem v mnenju ne more presojati. Zdi pa se verjetno, da bi lahko šlo v opisanem primeru zgolj za obdelavo osebnih podatkov v imenu in za račun vašega naročnika. V tem primeru ste nedvomno pogodbeni obdelovalec. Ne glede na to ali nastopate kot samostojni upravljavec osebnih podatkov ali kot pogodbeni obdelovalec pa morate tudi sami zagotoviti varno obdelavo osebnih podatkov in izpolniti druge pogoje za skladno obdelavo osebnih podatkov po Splošni uredbi (če nastopate kot upravljavec med drugim tudi zagotavljanje transparentnosti obdelave z obveščanjem posameznikov o obdelavi, zagotavljanje uresničevanja pravic posameznikov, itd.). Glede na navedeno torej pogodbe o obdelavi osebnih podatkov ni treba sklepati, le če resnično podatke hranite in obdelujete kot samostojni upravljavec osebnih podatkov. Ad.

(2)Glede vašega drugega vprašanja, pa IP pojasnjuje, da je uvedba GPS sledenja lahko dopustna, kadar so izpolnjeni pogoji za zakonitost in sorazmernost posega v zasebnost. Ker uvedba GPS sledenja v vozila, kot ste sami ugotovili, predstavlja znaten poseg v zasebnost zaposlenih, je treba pred uvedbo GPS sledenja pretehtati prednosti (koristi) s tveganji, ki jih tak način obdelave prinaša in oceniti, ali oz. v kakšni meri je takšen poseg lahko dopusten. Zakonodaja za uvedbe GPS sledenja ne ureja podrobneje (kot npr. videonadzor), zato je treba dopustnost in obseg sledenja prek GPS naprav preveriti v vsakem konkretnem primeru posebej. IP je glede tega izdal tudi smernice Uporaba GPS sledilnih naprav in varstvo osebnih podatkov, ki opisujejo kako pristopiti k ugotavljanju ali bi bila uvedba GPS sledenja v konkretnem primeru dopustna. V zvezi s tem smernice predlagajo tudi izvedbo ocene učinkov, ki jo je skladno s Splošno uredbo dolžan izvesti upravljavec za vse obdelave, ki predstavljajo večje tveganje za pravice in svoboščine posameznikov. Izvesti jo je dolžan pred pričetkom izvajanja obdelave. Informacijski pooblaščenec je izdal tudi seznam dejanj obdelave (oziroma podrobnejših kriterijev), kjer je izvedba ocene učinkov obvezna. Če so bile GPS naprave nameščene po

2. 2018 bi bila lahko izvedba ocene učinka po Splošni uredbi tudi obvezna (v primeru, da gre za takšen obseg spremljanja in obdelave, kjer se ocena učinkov zahteva). Takšna ocena bi pokazala, ali zakoniti interesi hitre pošte, ki se varujejo prek uvedbe GPS sledenja v vozilih, dejansko pretehtajo nad posegom v zasebnost zaposlenih na drugi strani oziroma ali so sprejeti ustrezni zaščitni ukrepi za zmanjšanje tveganj za pravice zaposlenih, da je takšna uporaba GPS-naprav dopustna (npr. vklop le v delovnem času ali le v primeru incidenta, itd.). Ključno je torej, ali je uvedba GPS naprav za vašo dejavnost sploh dopustna. Če je temu tako, je treba razrešiti še vprašanje, kdo je v konkretnem primeru upravljavec in kdo obdelovalec osebnih podatkov. Pri ugotavljanju, ali gre za (pogodbenega) obdelovalca, so ključni naslednji faktorji: Ali subjekt lahko sam določa namen in sredstva obdelave osebnih podatkov? Ali je upravljavec zbirke osebnih podatkov subjektu poveril v izvajanje opravila obdelave, ki bi jih sicer lahko izvajal upravljavec sam? Kakšna je intenzivnost obdelave, vezanost na navodila in nadzor upravljavca nad dejanji subjekta? Ali ima subjekt zakonska pooblastila oziroma pravno podlago, ki bi ga deloma ali v celoti postavila za upravljavca v zvezi z osebnimi podatki upravljavca? Ali je primarni namen najema storitev subjekta katero od dejanj obdelave osebnih podatkov (npr. hramba) ali pa je obdelava osebnih podatkov zgolj posledica najetja storitve subjekta? Glede na opredeljene kriterije, IP ugotavlja, da v vašem primeru hitra pošta verjetno nastopa kot upravljavec osebnih podatkov. Hitra pošta namreč samostojno določa sredstva in namene obdelave, saj – kot navajate – gre za naprave od hitre pošte, prav tako pa hitra pošta spremlja in obdeluje podatke. Sami obdelave ne izvajate, niti nimate vpogleda ali nadzora nad GPS napravami, zato po mnenju IP ne nastopate kot obdelovalec osebnih podatkov v imenu hitre pošte. Iz vaših navedb izhaja, da hitra pošta samostojno obdeluje osebne podatke vaših zaposlenih, zato je kot samostojni upravljavec tudi sama odgovorna za obdelavo osebnih podatkov. Posamezniki (v konkretnem primeru vaši zaposleni), pa morajo biti obveščeni o namenih obdelave osebnih podatkov, svojih pravicah in drugih pomembnih informacijah, ki izhajajo iz
3. člena Splošne uredbe. Proaktivno obveščanje po
4. členu je obveznost upravljavca, posamezniki pa lahko pridobijo informacije glede obdelave njihovih osebnih podatkov tudi na svojo zahtevo, po
5. členu Splošne uredbe. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026